[論文レビュー] Analyzing HTTPS Encrypted Traffic to Identify User Operating System, Browser and Application

Jonathan Muehlstein, Yehonatan Zion+5 more|arXiv (Cornell University)|Mar 15, 2016

Internet Traffic Analysis and Secure E-voting被引用数 5

ひとこと要約

本論文は、HTTPS暗号化トラフィックのネットワークトラフィックメタデータを分析することで、OS、ブラウザ、アプリケーションを特定するパassiveサイドチャnel攻撃を提示している。新規の特徴量セットと20,000件を超えるデータセットを用いて、分類精度は96.06%に達し、暗号化トラフィックから顕著なデバイスファングプリント情報が漏洩していることを示している。

ABSTRACT

Desktops and laptops can be maliciously exploited to violate privacy. There are two main types of attack scenarios: active and passive. In this paper, we consider the passive scenario where the adversary does not interact actively with the device, but he is able to eavesdrop on the network traffic of the device from the network side. Most of the internet traffic is encrypted and thus passive attacks are challenging. In this paper, we show that an external attacker can identify the operating system, browser and application of HTTP encrypted traffic (HTTPS). To the best of our knowledge, this is the first work that shows this. We provide a large data set of more than 20000 examples for this task. Additionally, we suggest new features for this task. We run a through a set of experiments, which shows that our classification accuracy is 96.06%.

研究の動機と目的

• パasiveな敵が、アクティブな相互作用なしに暗号化されたHTTPSトラフィックからユーザーのデバイス属性（OS、ブラウザ、アプリケーション）を特定できるかどうかを調査すること。
• 直接アクセスが不可能な状況下で、盗聴された暗号化トラフィックにのみ依存してデバイスのファングプリントを特定する課題に対処すること。
• 暗号化トラフィックにおけるデバイス識別に有効な新しいネットワークレベルの特徴量を開発・検証すること。
• デバイスファングプリントのベンチマークに使用可能な、20,000件を超えるHTTPSトラフィックサンプルから構成される大規模で公開可能なデータセットを作成・公開すること。
• 現実世界の暗号化通信環境において、パasiveなデバイス識別が実現可能で、高い精度を示すことを実証すること。

提案手法

• 著者らは、多様なデバイス、ブラウザ、アプリケーションからHTTPSトラフィックを収集し、20,000件を超える一意のトラフィックサンプルから成るデータセットを構築した。
• 暗号化トラフィックから、TLSハンドシェイクの特徴、パケットタイミング、サイズ分布などの新しいネットワークレベルの特徴量を抽出した。
• これらの特徴量は、一般的な難読化技術に対して耐性を持ち、デバイスやソフトウェアごとのプロトコルレベルの行動的差異を捉えるように設計された。
• 抽出された特徴量を用いて機械学習分類器を訓練し、送信元デバイスのOS、ブラウザ、アプリケーションを予測した。
• 妥当性と一般化能力を確保するため、交差検証とホールドアウトテストセットを用いて分類パイプラインを評価した。
• モデルは、デバイスやソフトウェア構成と相関する、暗号化トラフィック内の微細で一貫したパターンを活用することで、高い精度を達成した。

実験結果

リサーチクエスチョン

• RQ1 外部のパasiveな敵は、暗号化されたHTTPSトラフィックのみに依存して、デバイスのオペレーティングシステムを正確に特定できるか？
• RQ2 暗号化されたネットワークトラフィックのパasive観察から、ブラウザおよびアプリケーションの種別をどの程度正確に推定できるか？
• RQ3 暗号化トラフィックにおけるデバイスファングプリントに最も効果的なネットワークレベルの特徴量の組み合わせは何か？
• RQ4 本手法は、従来のファングプリント技術と比較して、精度および実用的妥当性の面でどのように優れているか？
• RQ5 大規模かつ多様なトラフィック環境において、パasiveなデバイス識別は現実世界で実現可能で、耐障害性があるか？

主な発見

• 提案手法は、HTTPS暗号化トラフィックからOS、ブラウザ、アプリケーションを識別する分類精度が96.06%に達した。
• 本研究は、エンドツーエンド暗号化が施された状態でも、ネットワークレベルのメタデータから顕著な情報漏洩が生じ、信頼性の高いデバイスファングプリントが可能であることを示した。
• 著者らは、先行手法と比較して顕著に識別精度を向上させる新しい特徴量セットを導入した。
• 20,000件を超えるHTTPSトラフィックサンプルから構成されるデータセットを公開した。これにより、今後のパasiveなデバイスファングプリント研究が促進される。
• 結果から、パasiveな敵は、アクティブな相互作用や暗号の解読なしに、デバイス属性を信頼性高く推定可能であることが示された。
• 高い精度は、現在のHTTPS実装が、トラフィック解析によるサイドチャネル攻撃によるデバイスファングプリントに対して脆弱であることを示している。